Säkerhetsprofilen

Säkerhetsprofilen, i bestämd form säkerhetsprofilen, är ett dokumentärt begrepp som beskriver vilka säkerhetsåtgärder och skyddsnivåer som gäller för en viss system, tjänst eller process. Den sammanfattar vilka tillgångar som ska skyddas, vilka hot som är relevanta och vilka konfigurations- och organisatoriska kontroller som krävs för att uppnå en specificerad säkerhetsnivå.

Syftet med säkerhetsprofilen är att ge en tydlig och kommunicerbar bild av erforderlig säkerhet. Den fungerar som grund för systemdesign, riskhantering, upphandling och efterlevnad. Genom att ange data-klassificering, mål för konfidentialitet, integritet och tillgänglighet samt vilka kontrollåtgärder som ska tillämpas blir det lättare att bedöma risker och följa upp säkerhetsarbete.

Vanliga komponenter i en säkerhetsprofil är: data-klassificering, säkerhetsmål och krav, hotmodeller, nödvändiga tekniska kontroller (till exempel åtkomstkontroll, kryptering, loggning och övervakning), incidenthantering, förändrings- och leverantörsstyrning samt krav på kontinuitet och återställning. Den kan också kopplas till standarder och ramverk som ISO/IEC 27001, NIST eller nationella riktlinjer från myndigheter som MSB.

Utveckling och underhåll av säkerhetsprofilen sker vanligtvis genom riskbedömning, intressentdialog och regelbunden uppföljning vid förändringar i systemet eller hotbilden. I praktiken används säkerhetsprofilen av organisationer för att styra arkitekturval, upphandlingskrav och säkerhetsgranskningar. Begreppet är vanligare i svenska sammanhang där det kopplas till nationell säkerhet, dataskydd och it-säkerhetsarbete inom offentliga och privata sektorer. Den bestämda formen säkerhetsprofilen hänvisar till en specifik, definierad profil inom ett givet sammanhang.